PHP2Shell: две критические уязвимости PHP, просочившееся эмбарго и что на самом деле известно об эксплуатации

Что освещается в этом видео

• Обе уязвимости оценены командой PHP как 9.2 по CVSS v4.0. Исправленные версии: PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12; PHP 7.4, 8.0 и 8.1 получили только патчи исходного кода. PHP заявляет, что обновление является единственным полным способом устранения.
• Первая уязвимость возникает из-за того, что PHP оставляет запрос наполовину сформированным, когда у него заканчивается память в неподходящий момент. Вторая возникает из-за оставшегося указателя на память одного запроса, который может использовать последующий запрос в том же "воркере". На Apache с mod_php первый путь выполняется до кода приложения.
• Основной разработчик PHP обнаружил первые признаки проблемы с памятью во время аудита 2024 года. Фонд PHP заявляет, что конкурирующие исправления имели компромиссы, и команда безопасности, работающая на основе консенсуса, изо всех сил пыталась выбрать, что они называют структурным сбоем.
• Фонд заявляет, что идентификаторы CVE просочились 20 октября, Calif по ошибке опубликовал видео с подтверждением концепции, а Chainguard опубликовал готовые образы с исправлением более чем за шесть часов до выпуска. Генеральный директор Chainguard заявляет, что люди уже страдали, и что он обнаружил ошибки независимо.
• Источники расходятся во мнениях относительно эксплуатации. Amazon зафиксировал попытку 17 октября и позже заявил, что PHP2Shell широко эксплуатируется. watchTowr сообщил об эксплуатации в "дикой природе". CISA не наблюдала эксплуатации на момент публикации, и команда PHP не обнаружила функционального эксплойта на момент выпуска. Сообщается, что многие общедоступные скрипты с подтверждением концепции не работают.
• Проверьте все места, где работает PHP, включая копии внутри другого программного обеспечения, обновите, перезапустите "воркеры" и просмотрите логи за период с 17 октября.

Переведенная стенограмма

Переведено с оригинального английского повествования. Доступные аудио и субтитры контролируются YouTube.

Кто попытался использовать PHP2Shell на четыре дня раньше?

0:00 Эмбарго на раскрытие информации о безопасности должно сохранять ошибку в тайне до выпуска патча. Amazon зафиксировал попытку использования критической ошибки PHP на четыре дня раньше. В этом видео, кто ее нашел? Как произошла утечка эмбарго? И насколько это плохо, на самом деле? И у компании, которую обвинили в утечке, есть защита, которую я не ожидал. Я до этого доберусь. Четверг, двадцать второе октября, и это The Daily Diff.

0:21 PHP - это скриптовый язык, который создает веб-страницы на сервере непосредственно перед тем, как они достигают вас. Ему более тридцати лет и, по одной оценке, он работает на семидесяти процентах веб-сайтов, включая WordPress и программное обеспечение за Wikipedia. Разработчики любят над ним смеяться, обычно со страницы, которую PHP им предоставляет. Его поддержкой занимается некоммерческая организация с примерно тринадцатью инженерами.

Что представляют собой две ошибки PHP2Shell?

0:41 В среду PHP выпустила экстренные исправления для двух критических уязвимостей, которые позволяют постороннему запускать код на сервере без входа в систему. Вместе они называются PHP2Shell, и они восходят к PHP пять точка четыре. Вот первая ошибка простыми словами. PHP выделяет каждому запросу бюджет памяти. Если запрос достигает этого предела в точно неподходящий момент, PHP быстро завершает работу и оставляет запрос наполовину сформированным. Затем шаг очистки доверяет наполовину сформированному объекту.

1:07 Вторая ошибка - это "остаток". Фатальная ошибка может оставить заметку, указывающую на память, которая принадлежала последнему запросу. Тот же "воркер" обрабатывает следующий запрос и следует заметке. К тому времени кто-то другой уже находится по этому адресу. На Apache с mod PHP повреждение происходит до запуска вашего собственного кода, поэтому ваша страница входа никогда не участвует в голосовании. Wiz говорит, что даже скрипт "hello world" уязвим. Исправление убирает аварийный выход PHP при нехватке памяти.

1:32 Вместо того чтобы прерывать запрос посередине, PHP теперь вежливо останавливается в следующей безопасной точке. Странно то, насколько старой является первая зацепка.

Почему известная ошибка ждала два года?

1:39 В 2024 году внешний аудит безопасности привел основного разработчика PHP к первым признакам проблемы с памятью. Эксплойт не был известен, и каждое исправление что-то ломало. Команда, принимающая решения консенсусом, не смогла выбрать, поэтому ошибка ждала. Затем, в августе, обнаружившие появились в течение нескольких дней.

Кто обнаружил PHP2Shell и как?

1:56 Исследователь Calif Райан Остин обнаружил ее первого августа, работая по программе OpenAI "Patch the Planet". OpenAI независимо сообщила о той же корневой причине. Wiz обнаружил варианты несколько недель спустя с моделями Gemini и GPT. Остин говорит, что он использовал общедоступные модели, а также теорию о том, где скрываются старые ошибки PHP. OpenAI заявляет, что ключевым был передовой ИИ. Ошибка скрывалась более десяти лет. Выпуск был запланирован на четверг.

Как произошла утечка эмбарго PHP2Shell?

2:21 Во вторник два номера CVE начали циркулировать в сети, с неправильным временем выпуска и неправильной оценкой в десять баллов. PHP перенесла выпуск на один день раньше. В тот вечер Calif случайно опубликовал видео с демонстрацией своей концепции работы, и копии пережили удаление. В среду утром, более чем за шесть часов до выпуска, Chainguard опубликовал готовые образы, содержащие исправление. PHP заявляет, что любой злоумышленник мог изучить это исправление, пока все остальные ждали.

2:46 Патч - это также "diff", и злоумышленники читают "diffы".

Эксплуатируется ли PHP2Shell и кем?

2:50 Так кто же на самом деле страдает? "Медовая ловушка" Amazon зафиксировала попытку 17 октября и позже заявила, что PHP2Shell широко эксплуатируется. watchTowr сообщает об эксплуатации в "дикой природе". Cisa заявила, что не наблюдала никаких попыток на момент публикации, и команда PHP не видела никаких работающих эксплойтов на момент выпуска. Генеральный директор Cloudflare заявил, что видел тысячи попыток за десять часов до объявления и миллионы к утру четверга.

3:13 Amazon осторожен в одном пункте. Он не знает, сработали бы ли его ранние попытки на реальной системе. Попытка - это всего лишь стук в дверь. Так насколько это плохо, на самом деле? watchTowr говорит, что большинство общедоступных эксплойтов либо вызывают сбой, либо ничего не делают. VulnCheck говорит, что выполнение кода работает в некоторых настройках, и ни один из общедоступных не преодолевает рандомизацию памяти на стандартных x86 серверах. Исследователь Элиас Тейлор говорит, что это далеко не так просто, как Log4Shell.

3:40 Все равно говорят "патч". Правительства не ждали вердикта.

Что правительства отключили?

3:44 АНБ сообщило организациям, которые не смогли применить патч, отключить системы PHP, и Национальный центр кибербезопасности Великобритании дал аналогичный совет. Голландские сайты, включая национальную службу цифровой идентификации, ушли в оффлайн, наряду с сайтом полиции Парижа. Wikimedia в качестве меры предосторожности отключила несколько систем. Palo Alto Networks насчитала более двадцати двух миллионов уязвимых экземпляров. И австралийский профессор сделал самый точный вывод. Следует беспокоиться о тех сайтах, которые сегодня не отключены.

Какие версии PHP получают исправление?

4:11 Исправления существуют для PHP от восьми точка два до восьми точка пять. Для семь точка четыре, восемь точка ноль и восемь точка один, PHP опубликовал только патчи исходного кода. Старые версии ничего не получают от проекта PHP, поэтому обратитесь к своему дистрибутиву. Временные решения уменьшают шансы, но PHP заявляет, что обновление является единственным полным исправлением. Это тот же урок, что и вчерашний эпизод с eMudhra,

Что делать с PHP2Shell сегодня вечером?

4:32 потому что существование исправления не означает, что оно есть у запущенного процесса. Найдите все PHP в вашем стеке, даже копии, скрывающиеся внутри другого программного обеспечения. Обновите, перезапустите "воркеры" и проверьте логи до семнадцатого октября. В тот же день GitLab выпустил критическое обновление,

Что еще сегодня выпустило критический патч RCE?

4:47 девятнадцать точка пять точка один. Переполнение целого числа в его компиляторе регулярных выражений позволяет неаутентифицированному пользователю выполнять код на сервере, и оно оценивается в десять из десяти. GitLab.com уже пропатчен. Самостоятельно управляемые установки требуют обновления.

Почему Meta приказали выплатить 25 миллиардов долларов?

5:01 Тем временем в Нью-Мексико судья приказал Meta выплатить двадцать пять миллиардов долларов штрафов по делу Cambridge Analytica. Жюри насчитало более сорока трех миллионов нарушений по цене до пяти тысяч долларов каждое, что составило около двухсот двадцати миллиардов до того, как судья сократил сумму. Meta заявляет, что выиграет апелляцию. Теперь обещанная защита.

Какова защита Chainguard за раннее исправление?

5:19 Генеральный директор Chainguard сообщил The Register, что он сам обнаружил те же ошибки в пятницу вечером, узнав, что что-то грядет в PHP, с помощью простого запроса на поиск плохих уязвимостей. Он говорит, что выпустил раньше, потому что люди уже страдали. Если вы предпочитаете читать это, а не слушать, как я это говорю, "дифф" приходит на вашу почту каждое утро, бесплатно на the daily diff dot dev, ссылка ниже. Итак, сегодняшний вердикт - SHIP IT.

Что получает печать SHIP IT?

5:39 Выпустите обновление PHP сегодня вечером, потому что новый номер версии - единственное полное исправление. И это "дифф" на сегодня. Я Нико из Axrisi. Сливайте ответственно.

Источники

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News